ISO 27002 wijzigingen: wat betekent dat voor jouw organisatie?

Als je al wat langer meeloopt in ISO- en managementsystemenland, dan heb je het al eens eerder meegemaakt: een update aan een norm. In principe wordt elke vijf jaar besloten of een norm wordt geactualiseerd. De laatste versie van de ISO 27002 norm dateerde al uit 2013, dus was het hoog tijd voor een opfrisbeurt. Onlangs (februari 2022) is de nieuwe versie (ISO 27002:2022) gepubliceerd. Wat betekent dat inhoudelijk voor de norm en in de praktijk voor jouw organisatie? In dit artikel bespreken we de belangrijkste ISO 27002 wijzigingen en consequenties.

De 27002 vormt de basis voor Annex A van de ISO 27001 norm. De norm bevat de praktische richtlijnen voor beheersmaatregelen voor informatiebeveiliging. Organisaties die ISO 27001 gecertificeerd zijn (of willen worden), zullen in de komende tijd hun informatiebeveiligingsmanagementsysteem (ISMS) en verklaring van toepasselijkheid moeten aanpassen/inrichten op de gewijzigde ISO 27002 (/Annex A).

Inhoudelijk verandert de ISO 27002 voornamelijk door een nieuwe indeling/categorisering, met samenvoeging van bestaande maatregelen en uitbreiding met 11 nieuwe maatregelen. Het doel van ISO hierbij is om bij de tijd te blijven, de indeling logischer en praktischer te maken en aan te sluiten bij juiste verantwoordelijken. Ook stimuleert de nieuwe indeling meer tot ‘zelf nadenken’. Daarbij biedt de norm als hulpmiddel nieuwe ‘attributen’ ten behoeve overzichtelijke selectie, groepering e.d., gebaseerd op het type maatregel (preventief, correctief) en of de maatregel invloed heeft op Beschikbaarheid, Integriteit en Vertrouwelijkheid.

Certificerende instellingen zullen niet per direct de nieuwe beheersmaatregelen als uitgangspunt nemen bij hun audits. Er zal naar verwachting een overgangsperiode gehanteerd worden van drie jaar. Tenzij je organisatie op dit moment start met de invoering van een managementsysteem volgens ISO 27001 en je in dit project nog een risicoanalyse moet uitvoeren, kun je als je al een draaiend managementsysteem hebt naar verwachting wachten tot je eerstvolgende periodieke update van de risicoanalyse om deze verandering in te zetten.

Of de wijziging voor een reeds ISO 27001 gecertificeerde organisatie veel of weinig impact heeft, hangt met name af van de wijze waarop de risicoanalyse is ingestoken en het huidige ISMS is vormgegeven. Als daarbij een sterk normgebaseerde aanpak is gekozen, met de bestaande/oude Annex A als basis voor het identificeren van risico’s en voor de (paragraaf)structuur van een mogelijk ISMS handboek, dan is er het nodige werk aan de winkel.

Indien de risicoanalyse en het ISMS meer vanuit bedrijfsprocessen en de daaraan verbonden risico’s zijn opgesteld, is de kans groot dat de nieuwe elementen uit de nieuwe norm al op je ‘radar’ stonden en zorgt de nieuwe normindeling voor minder aanpaswerk.

Bekijk onderstaande video voor een korte toelichting op de vernieuwde norm!

Noot vooraf: De vernieuwde ISO 27002 is op dit moment alleen nog gepubliceerd in het Engels, vandaar dat je hieronder wat Engelse termen terugvindt.

Een in het oog springende ISO 27002 wijziging is dat het aantal beheersmaatregelen teruggaat van 114 naar 93. Dit komt praktisch volledig door samenvoeging van bestaande maatregelen; inhoudelijk is er nauwelijks iets geschrapt. Overigens wordt de tekst van de norm daarbij niet per se korter – de Engelse norm gaat van 80 naar 138+ pagina’s.

Van die 93 controls zijn er 11 nieuwe (hieronder in een niet-officiële vertaling):

Maatregel

Wat daarbij opvalt is dat slechts één nieuwe beheersmaatregel betrekking heeft op beveiliging van clouddiensten. Dat is beperkte aandacht te noemen voor deze moderne manier van werken. Voor meer detail met betrekking tot clouddiensten wordt er geleund op de ISO 27017 norm, die ook groeit in populariteit (tenminste, bij de grotere aanbieders). Een meer structurele aandacht voor cloud in ISO 27002 komt wellicht over vijf of tien jaar aan bod. Wat niet wegneemt dat je met de huidige ISO 27002 ook uit de voeten kunt voor cloudsecurity.

De nieuwe norm bevat meer meta-informatie over de maatregelen en spoort de organisatie aan om daar zelf ook gebruik van te maken. Elke beheersmaatregel wordt bijvoorbeeld voorzien van “Attributen” zoals:

Deze attributen kunnen ook worden ingezet om aan te haken bij andere frameworks, zoals NIST.

De intentie is daarbij dat er ook meer gekeken wordt naar het doel van de maatregel en niet de gangbare uitvoering van de maatregel. Bijvoorbeeld functiescheiding bij een eenmansorganisatie. Ook het oude, wellicht verwarrende ‘beveiligen van laad- en loslocaties’ komt niet meer onder die titel voor.

Wat is er dan met die hoofdstukindeling gebeurd? Daar is in de nieuwe ISO 27002 een grote verandering doorgevoerd: de beheersmaatregelen worden verdeeld in vier groepen (hieronder genummerd volgens de nieuwe hoofstukken / clauses en met het aantal maatregelen benoemd):

Dit maakt het in principe iets eenvoudiger om een ‘eigenaar’ toe te kennen aan een beheersmaatregel. Bijvoorbeeld de HR Manager voor de categorie ‘Mensen’, de Security Officer voor de categorie ‘Organisatorisch’, de Facility Manager voor de categorie ‘Fysiek’ en de ICT manager voor de categorie ‘Technologie’.

Er is een overgangsperiode van naar verwachting drie jaar, om je ISMS in te richten c.q. aan te passen op de wijzigingen in de ISO 27002 (/Annex A). Als jouw organisatie al ISO 27001 gecertificeerd is, dan is het verstandig om te kijken in welk jaar je hercertificeringsaudit valt. Als dit qua planning lukt, dan is het prettig om er naartoe te werken dat je op dat moment je ISMS hierop hebt aangepast. Dat voorkomt hopelijk aanvullende bezoeken van de certificerende instelling.

Hoe moet die transitie dan gemaakt worden? Het meest praktische is dat bij de eerstvolgende revisie/update van de risicoanalyse te doen (op het moment dat die gepland staat in je operationele planning). Als die nog lang op zich laat wachten, dan kun je er uiteraard één extra plannen. Daarbij kijk je op basis van de nieuwe indeling/maatregelen of er bij je huidige risicoanalyse toch niet iets gemist is. Mogelijk is dat niet eens zo. Als cloud diensten bijvoorbeeld een belangrijke rol spelen binnen je organisatie, zal je (als het goed is) de risico’s daarvan al eerder in beeld hebben gebracht en maatregelen hebben getroffen (ook al vroeg de norm daar nog niet expliciet om). En zo geldt dat wellicht ook voor de andere nieuwe zaken. In dat geval is het slechts een kwestie van duidelijk zichtbaar maken dat je ook onder de nieuwe indeling, je zaken op orde hebt.

Mocht je echter de maatregelen uit de Annex A heel letterlijk/rechtlijnig als uitgangspunt voor je risicoanalyse hebben genomen en geïmplementeerd, dan kan het zijn dat je toch nieuwe zaken tegenkomt in de vernieuwde ISO 27002 / Annex A. Het werk is in dat geval omvangrijker. Dat geldt ook wanneer je jouw managementsysteem sterk gekoppeld hebt aan (en ingedeeld hebt volgens) de Annex A en de daarbij behorende paragraafnummers. Veel (jongere) systemen kennen een dergelijke inrichting.

De nieuwe norm bevat een bijlage met een mapping van de 2013 versie naar de 2022 versie, die je voor een zoek- en vervang exercitie kan gebruiken.

Het is echter aan te bevelen om waar mogelijk de focus op/koppeling aan de norm(paragrafen) los te laten, zeker als je systeem al een tijd goed draait. Je processen werken dan immers goed en je hebt de ‘kruk’ van de normdetails steeds minder nodig om de relevante maatregelen te treffen en goed te houden. Uiteraard maak je de koppeling tussen je systeem en norm nog wel (in risicoanalyse en verklaring van toepasselijkheid), maar deze mag naar de achtergrond. Dat is ook goed voor het draagvlak en de effectiviteit in je organisatie. En je voorkomt dat je bij een toekomstige update aan de norm vast zit aan het framework.

Wat je ook doet: neem bij je eerstvolgende directiebeoordeling (of overleg tussen Security Officer en directie) deze ontwikkeling op basis van de ISO 27002 wijzigingen alvast mee.

Een aantal normen zijn afhankelijk van of gekoppeld aan ISO 27001/ISO 27002, zoals de Baseline Informatiebeveiliging Overheid (BIO) en NEN 7510, de norm voor de zorg. Daarnaast zijn er verbanden of overlap met ABDO, TISAX en ISAE.

De beheerders van deze normen zullen op kortere of langere termijn naar verwachting de wijzigingen in de ISO 27002 in meer of mindere mate overnemen. De details en planning hiervan zijn nog niet bekend.

Als je al contact hebt met één van onze adviseurs (of Security Officers as a Service), dan kan hij/zij je hierbij verder helpen. Heb je nog geen contact met één van onze collega’s, dan helpen wij je uiteraard ook graag met deze transitie: wij hebben ervaring met de begeleiding bij dit soort transities. Speciaal voor deze transitie bieden wij een Transitiescan ISO 27002 aan. Neem gerust contact met ons op. We vertellen je graag meer!